校园宿舍全光网络：有线 DHCP 拿到 IP，但 ping 不通网关；无线完全正常

拓扑说明：宿舍 ONU 本地供电，OLT 上联校园核心三层交换机；AC 无线控制器接核心，无线终端正常 Portal 认证上网；宿舍有线（ONU LAN 口）DHCP 获取 IP / 掩码 / 网关全部正确，ping 网关完全不通；核心交换机配置没有改动，Portal‑BRAS 旁挂核心。 关键特征：无线正常，说明核心 VLANIF 网关、DHCP 服务器、旁挂 Portal 认证系统、上行路由全部没有问题；故障范围锁定在【核心交换机往下：OLT‑分光‑ONU 这条有线二层链路】。

现象拆解

1. 电脑有线可以拿到正确 DHCP 地址，证明：DHCP 报文（单播 / 广播）可以从宿舍 ONU→OLT→核心，DHCP 服务器应答可以原路回传到终端，DHCP 双向通。
2. ping 网关不通，电脑执行arp -a，看不到网关 VLANIF 的 MAC 地址（ARP 解析失败），绝大多数情况是 ARP 报文无法上行到核心网关。
3. 无线终端（AC 接入同一个业务 VLAN）ARP、ping 网关、Portal 全部正常，证明网关 VLANIF 本身工作正常，没有 ACL 拦截 ICMP。

核心现象：DHCP 报文通，但 ARP 请求报文无法到达网关，开学复现，典型是全光宿舍网的二层问题。

按优先级排查（从高到低，开学最容易踩的 4 类）

① OLT 业务模板 QinQ/VLAN 映射异常（最高概率）

无线流量走 AC，不经过 OLT；宿舍有线全部走 OLT 业务模板。暑假过后，部分 OLT 单板重启、业务模板被异常刷新，内层 CVLAN、外层 SVLAN 映射出错；DHCP 可以通，但是 ARP / 普通二层帧转发异常。

排查命令（OLT 设备）

• 现象：DHCP 广播可以透传，但是 ARP 报文 VLAN 标签处理异常，终端发的 ARP 请求到不了核心 VLANIF 网关。
• 验证测试：拿一台笔记本接核心交换机空闲同 VLAN 端口，有线接入。如果接核心端口 ping 网关正常，100% 问题在 OLT‑ONU 链路段。

② DHCP‑Snooping / ARP‑Snooping 信任端口缺失（开学高频）

核心交换机开启 dhcp‑snooping、arp‑snooping；连接 OLT 的上联端口没有配置为 trust 信任端口。 DHCP 报文会放行（DHCP‑Snooping 有表项），但是终端发出的 ARP 请求报文被 snooping 丢弃，ARP 解析失败，ping 不通网关；无线 AC 上联端口配置了 trust，所以无线完全正常。

核心交换机检查：

如果 OLT 上联核心的接口为untrust，修改配置：

这是校园网开学故障经典场景：AC 上联口是 trust，OLT 上联口忘记配置 trust；无线正常，有线 ping 不通网关。

③ 宿舍大量私接路由器，引发广播风暴 / ARP 风暴，MAC 漂移，ONU‑OLT 链路受冲击

开学学生返校，大量宿舍私接家用路由器，在 ONU 下面产生二层环路，大量广播 ARP 占满 GPON 下行带宽。 表现：部分宿舍有线完全拿不到 ARP，ping 网关不通；无线不受影响（AP 隔离，不会把广播风暴传到核心）。 现象：OLT 上看 GPON 端口统计，广播包计数暴涨；MAC 地址频繁漂移。

OLT 查看：

临时验证：断开几个故障宿舍 ONU，看其他宿舍有线是否恢复；同时在 OLT 配置端口广播风暴抑制。

④ ONU 端口隔离 / 端口隔离组配置错误

ONU 设备 LAN 口开启端口隔离，终端发出的二层 ARP 广播报文被隔离，无法向上转发到 OLT；DHCP 单播应答可以回来，但 ARP 广播上不去。

登录 ONU 检查 LAN 口隔离配置，宿舍有线业务 LAN 口不要启用端口隔离。

终端侧确认操作（定位根因必做）

1. 故障电脑 cmd 执行

✅如果 ARP 表里面完全没有网关的 MAC 条目，就是二层链路 ARP 请求报文没有送达核心网关，故障点在 OLT‑ONU 或者核心 snooping 策略。 如果能学到网关 MAC，但是 ping 不通，才考虑 ACL、ICMP 拦截。

2. 对比测试：笔记本直接接到核心交换机同业务 VLAN 空闲端口

• 接核心端口：DHCP 获取 IP，ping 网关正常 → 问题一定出在OLT 往下的宿舍有线链路。
• 接核心端口也 ping 不通网关：才排查核心交换机 VLANIF、ACL、snooping 全局配置。

旁挂 Portal 认证补充说明

你描述 “核心交换机没有改动过有线 Portal 配置”，本故障还没有到 Portal 认证阶段：终端还 ping 不通网关、ARP 解析失败，根本还没有触发重定向 Portal 页面；无线正常证明 BRAS/Portal 系统本身无故障，不要优先去折腾认证平台。

快速定位流程小结

1. 终端看 ARP：学不到网关 MAC → 二层 ARP 报文被丢弃 / 转发异常。
2. 笔记本直连核心同 VLAN 端口测试，区分故障域（核心侧 or OLT‑ONU 侧）。
3. 检查核心交换机：OLT 上联口是否dhcp‑snooping trust / arp‑snooping trust（开学最高概率）。
4. OLT 核对 service‑port QinQ/VLAN 映射、上联口放通 SVLAN。
5. 排查私接路由器环路、广播风暴、ONU 端口隔离。